Cos'e EU GMP Annex 11
Annex 11 e l'allegato 11 della parte 1 della EudraLex Volume 4, il manuale delle Good Manufacturing Practices europee per i medicinali umani e veterinari. Si applica a tutti i sistemi computerizzati che fanno parte di un processo GMP, dalla pesata delle materie prime al rilascio dei lotti.
Il principio fondamentale di Annex 11 e semplice: l'introduzione di un computer non puo ridurre la qualita del prodotto, la sicurezza del paziente, o l'integrita dei dati. Il computer e un sostituto di un'azione umana o di un sistema cartaceo, e deve essere validato per dimostrare che fa esattamente quello che si dichiara, in modo riproducibile.
Annex 11 e applicabile in tutti i 27 Stati UE piu i Paesi del SEE e quelli con accordi di Mutual Recognition (UK post-Brexit, Svizzera, Canada, Giappone). Le ispezioni AIFA, EMA, MHRA seguono questo allegato.
Cos'e FDA 21 CFR Part 11
21 CFR Part 11 e la parte 11 del titolo 21 del Code of Federal Regulations USA, intitolata "Electronic Records; Electronic Signatures". Pubblicata nel 1997, definisce i criteri perche un record elettronico e una firma elettronica siano considerati equivalenti ai record cartacei e alle firme manoscritte ai fini regolatori FDA.
Si applica a tutti i sistemi computerizzati usati in attivita soggette a regolamentazione FDA: produzione di farmaci umani e veterinari, dispositivi medici, alimenti, cosmetici, sangue, vaccini. Non e limitato alla produzione GMP ma copre anche la ricerca clinica (GCP) e i laboratori di controllo qualita (GLP).
Per una CMO italiana che esporta negli USA, la conformita Part 11 e oggetto di ispezione FDA durante le pre-approval inspection (PAI) e le routine inspection. La gestione tipica e in due fasi: una review documentale remota e un'ispezione on-site di 3-5 giorni.
I 12 requisiti Annex 11 confrontati con Part 11
I due regolamenti coprono territori simili ma li articolano in modo diverso. Qui sotto la tabella di confronto sui 12 requisiti operativi principali che ogni CMO deve implementare.
| Requisito | Annex 11 (UE) | 21 CFR Part 11 (USA) |
|---|---|---|
| Validazione del sistema | Para. 4 · validazione computerizzata estesa, GAMP 5 framework | 11.10(a) · validazione richiesta, no framework specifico |
| Risk assessment | Para. 1 · obbligatorio basato su impatto paziente | FDA guidance 2003 · risk-based approach raccomandato |
| Audit trail | Para. 9 · immutabile, sequenziale, time-stamped | 11.10(e) · secure, computer-generated, time-stamped |
| Accuracy check sui dati | Para. 6 · controllo input/output, integrita | 11.10(c) · protezione record, accuratezza |
| Sistema di backup | Para. 7 · backup periodico, restore test | 11.10(c) · record retention nel periodo richiesto |
| Controllo degli accessi | Para. 12 · password policy, ruoli, deactivation | 11.10(d)(g) · system access limited a authorized individuals |
| E-signature meaning | Para. 14 · signed/approved/reviewed esplicitato | 11.50 · signed name, date, meaning obbligatori |
| Identita firmatario | Para. 12.4 · unique to one individual | 11.100 · unique to one individual, not reassigned |
| Two-component authentication | Implicito · raccomandato risk-based | 11.200(a)(1) · obbligatorio per non-biometric |
| Change control | Para. 10 · change management formale | 11.10(k) · written policy on system access |
| Disaster recovery | Para. 16 · business continuity plan | 11.10(c) · protection of records |
| Periodic review | Para. 11 · periodic evaluation richiesta | 11.10(d) · system suitability assessments |
Conclusione operativa: una CMO che implementa correttamente Annex 11 ha gia coperto l'80% dei requisiti Part 11. Le differenze residue (two-component auth obbligatoria, e-signature meaning sempre esplicitato, audit trail con metadata dettagliato) si gestiscono con configurazioni aggiuntive sullo stesso sistema.
E-signature meaning: il punto critico
Il piu citato in audit FDA. Part 11 richiede che ogni firma elettronica riporti tre informazioni esplicite, visibili nel record firmato e nel suo audit trail:
- il nome stampato del firmatario (non solo username);
- la data e l'ora della firma in formato ISO;
- il significato della firma (approved by, reviewed by, performed by).
Esempio non conforme: un report con solo username e timestamp. Esempio conforme: "Approved by Mario Rossi, Quality Assurance Manager, on 2026-06-18 14:32:11 CET". Annex 11 richiede informazioni simili al paragrafo 14, ma e meno esplicito sul formato.
Per le CMO italiane che producono per il mercato USA, la regola pratica e: configurare il sistema secondo i requisiti Part 11 (piu stringente sulla forma), e l'audit AIFA sara automaticamente soddisfatto.
4-eyes rule per lot release
Il rilascio di un lotto di farmaco e una delle operazioni piu critiche in GMP. Annex 11 paragrafo 14 e Part 11 sezione 11.50 convergono su un principio: il rilascio deve essere firmato elettronicamente da almeno due persone qualificate, con ruoli distinti.
Tipicamente: il Quality Control Manager firma l'esecuzione dei test di rilascio (performed by), il Qualified Person firma l'approvazione finale del lotto (approved by). Le due firme devono essere indipendenti, non sostituibili l'una dall'altra, e tracciate nell'audit trail con timestamp diversi.
Veylon Cert Pharma implementa la 4-eyes rule come flusso nativo: il QC carica i dati di rilascio nel sistema, firma con il proprio certificato, il record passa in coda di approvazione, il QP riceve notifica, controlla, firma a sua volta. Il certificato finale e firmato a quattro mani con timestamp Bitcoin di chiusura.
ALCOA+ come framework unificato
ALCOA+ e l'acronimo che FDA, EMA e MHRA usano per riassumere i principi di data integrity applicabili in ambito GxP. Significa: Attributable, Legible, Contemporaneous, Original, Accurate, piu Complete, Consistent, Enduring, Available.
Implementare ALCOA+ in un sistema computerizzato copre automaticamente buona parte dei requisiti tecnici sia di Annex 11 sia di Part 11. La traduzione operativa di ogni lettera:
- Attributable: ogni dato e collegato a un'identita univoca (login utente, certificato);
- Legible: i dati restano leggibili per tutto il periodo di retention legale (minimo 10 anni in pharma);
- Contemporaneous: registrazione al momento dell'esecuzione, non a posteriori;
- Original: si conserva il record originale, non solo trascrizioni;
- Accurate: il dato registrato e quello effettivamente generato dallo strumento;
- Complete: nessun dato omesso, neanche le ripetizioni di test falliti;
- Consistent: ordine cronologico mantenuto, niente backdating;
- Enduring: supporto di memorizzazione affidabile (no fogli volanti, no chiavette USB);
- Available: recuperabile su richiesta dell'ispettore in tempi ragionevoli.
Veylon Cert Pharma per CMO piccole-medie
La sfida di una CMO italiana sotto i 200 dipendenti e che gli ERP pharma "grandi" (Werum PAS-X, Rockwell PharmaSuite, Korber Werum) costano centinaia di migliaia di euro l'anno e richiedono team IT dedicati. Per una CMO che produce 10-50 lotti l'anno il rapporto costo/beneficio non torna.
Veylon Cert Pharma e l'atto della piattaforma dedicato alla generazione di certificati GxP firmati e ancorati, pensato per le CMO che vogliono compliance senza overhead. Il sistema produce certificati di analisi (CoA), certificati di rilascio lotto, batch record digitali, tutti con firma PAdES B-T sui PDF e audit trail immutabile ancorato su Bitcoin.
Implementa nativamente: ALCOA+ su ogni record, 4-eyes rule per il rilascio, e-signature meaning conforme Part 11, audit trail con timestamp ancorati, ruoli QC/QA/QP con permessi granulari, e API di integrazione con i LIMS gia esistenti in azienda.
Accreditamenti: ISO 27001 + GxP audit
Per essere utilizzabile in ambito GMP, un fornitore di software pharma deve dimostrare due cose distinte ma complementari: la sicurezza del proprio data center (ISO/IEC 27001) e l'aderenza ai principi GxP di sviluppo software (GAMP 5).
ISO 27001 e un certificato emesso da un ente accreditato (DNV, Bureau Veritas, BSI in Italia) sulla base di un audit annuale del sistema di gestione della sicurezza delle informazioni (ISMS). Copre data center, processi, formazione, gestione incidenti.
L'audit GxP, invece, e tipicamente condotto direttamente dalla CMO cliente o da un consulente terzo, sul fornitore software (Veylon in questo caso) come parte della propria due diligence. Verifica che il processo di sviluppo, test, rilascio del software segua i principi GAMP 5 e che esista la documentazione di validazione (URS, FS, DS, IQ, OQ, PQ).
Veylon Cert Pharma e progettato per essere "audit-ready" per entrambi: certificazione ISO 27001 in corso con DNV per chiusura 2027, e documentazione GAMP 5 disponibile sotto NDA per i clienti che la richiedono come parte del proprio Vendor Qualification.
In sintesi: per una CMO italiana che produce per UE e USA conviene partire dai requisiti Part 11 (piu stringenti) e validare contro Annex 11 (incluso nella stessa documentazione). Un solo sistema, un solo processo di validazione, due ispezioni soddisfatte. Veylon Cert Pharma copre nativamente entrambi i framework con costi proporzionati alle CMO sotto i 50 lotti l'anno.